CVE-2026-105869

Nome do Software Vulnerável e Versões Afetadas Apache Pulsar versões 2.8.1 até 4.0.13 Apache Pulsar versões 4.1.0 até 4.2.4

Description O MultiRolesTokenAuthorizationProvider autoriza clientes com base em funções listadas em uma reivindicação de JSON Web Token (JWT), mas não verifica a assinatura do token, confiando que a autenticação já tenha sido realizada. Em implantações onde a autenticação e a autorização estão habilitadas com uma configuração anonymousUserRole não vazia, certas solicitações HTTP que falham na autenticação são tratadas como solicitações de usuário anônimo. Para a API REST de administração e a API WebSocket, o provedor lê o token bearer do cabeçalho de Autorização sem verificação e concede as funções especificadas na reivindicação de função do token.

Isso permite que um cliente não autenticado use um token forjado ou não assinado para obter funções arbitrárias, incluindo acesso de superusuário se uma função em superUserRoles for especificada. Isso pode permitir a leitura e modificação não autorizada de tenants, namespaces, tópicos, permissões e configurações do broker.

Recommendations Para as versões 2.8.1 até 4.0.13, atualize para a versão 4.0.14 ou superior. Para as versões 4.1.0 até 4.2.4, atualize para a versão 4.2.5 ou superior. Remova a configuração anonymousUserRole das configurações do broker e do serviço WebSocket. Restrinja o acesso de rede aos endpoints HTTP do broker e dos serviços WebSocket apenas a clientes confiáveis.